Τι κάνουμε · Λειτουργίες: Άμεση απόκριση σε ευπάθειες, αυθημερόν
Ανάμεσα σε μια κρίσιμη ανακοίνωση ασφαλείας και τη στιγμή που η διόρθωση φτάνει στον server σας, το κενό το κλείνουμε εμείς. Τα μέτρα μετριασμού μπαίνουν μέσα σε ώρες, τα διορθωμένα πακέτα χτίζονται εσωτερικά την ίδια μέρα που δημοσιεύεται η διόρθωση, και κάθε επηρεαζόμενος server διορθώνεται αυθημερόν, ένας host τη φορά, με δοκιμασμένο δρόμο επιστροφής.
Τι είναι
- h2: Τι είναι
Μια εξασκημένη διαδικασία έκτακτης ανάγκης, όχι αυτοσχέδιο τρέξιμο. Καλύπτει όλη τη διαδρομή, από την ανάγνωση της ανακοίνωσης μέχρι την εκ των υστέρων απόδειξη ότι κανείς δεν εκμεταλλεύτηκε το παράθυρο. Στηρίζεται στο δικό μας mirror πακέτων μέσα στο datacenter μας, ώστε το patching να μην εξαρτάται ποτέ από το αν ένα δημόσιο mirror έχει καλή μέρα.
Πώς το χτίζουμε
- h2: Πώς το χτίζουμε
Διαβάζουμε πρώτα τη δική μας υποδομή. Επιβεβαιώνουμε ποιοι servers τρέχουν το επηρεαζόμενο component και αν οι εφαρμογές πάνω τους χρησιμοποιούν πράγματι το ευάλωτο χαρακτηριστικό.
Πρώτα ο μετριασμός. Όσο ετοιμάζεται η διόρθωση, μπαίνει ο λιγότερο ενοχλητικός μετριασμός: μια αλλαγή διαμόρφωσης, ένα απενεργοποιημένο χαρακτηριστικό, ένας κανόνας στο edge. Τα μέτρα που κοστίζουν σε επιδόσεις αίρονται μόλις μπει η πραγματική διόρθωση. Τα μέτρα που δεν κοστίζουν τίποτα μένουν.
Το χτίζουμε οι ίδιοι, την ίδια μέρα. Όταν το upstream project δημοσιεύει διορθωμένο πηγαίο κώδικα, χτίζουμε διορθωμένα πακέτα την ίδια μέρα. Χτίζουμε από την ίδια την προδιαγραφή πακέτου του maintainer της διανομής, σε καθαρό container, και σημαίνουμε την έκδοση έτσι ώστε το build του ίδιου του κατασκευαστή να αντικαταστήσει το δικό μας αυτόματα στην επόμενη κανονική ενημέρωση. Τα πακέτα μπαίνουν στο δικό μας mirror με τα checksums τους καταγεγραμμένα.
Rollout ένας host τη φορά. Κάθε server περνά προέλεγχο και μετέλεγχο: τα ίδια modules φορτωμένα πριν και μετά, τα ίδια sites να απαντούν, η εφαρμογή να επιστρέφει υγιή απόκριση. Τα worker pools επανεκκινούνται ομαλά, ώστε ένα πολυσύχναστο site να βλέπει μια παύση περίπου ενός δευτερολέπτου, όχι διακοπή.
Αυτοματοποιούμε το προσεκτικό κομμάτι. Για μεγαλύτερους στόλους, όπως πλατφόρμες cPanel και Plesk όπου η διόρθωση έρχεται από τον κατασκευαστή του control panel, ένα χρονοπρογραμματισμένο rollout αναβαθμίζει έναν server ανά εκτέλεση, δειγματοληπτεί πραγματικά sites πάνω του πριν και μετά, και σταματά ολόκληρη τη σάρωση και καλεί μηχανικό τη στιγμή που έστω ένα site δεν επανέρχεται σωστά.
Ελέγχουμε αν χρησιμοποιήθηκε το παράθυρο. Μετά το rollout σαρώνουμε τα logs web και αυθεντικοποίησης για το παράθυρο της δημοσιοποίησης, ψάχνοντας για απόπειρες εκμετάλλευσης και για οτιδήποτε πέτυχε.
Από τι σας προστατεύει
-
h2: Από τι σας προστατεύει
-
Μια ευπάθεια υπό ενεργή εκμετάλλευση που μένει ανοιχτή αφού έχει δημοσιευτεί η διόρθωσή της.
- Μια βιαστική διόρθωση που χαλάει κάθε site σε έναν server τη νύχτα, χωρίς κανέναν να παρακολουθεί.
- Ένα patch για την προέλευση του οποίου κανείς δεν μπορεί να εγγυηθεί.
- Patching που κολλάει επειδή ένα δημόσιο mirror είναι αργό ή απρόσιτο.
- Το να μην ξέρετε αν κάποιος μπήκε πριν φτάσει η διόρθωση.
Στην πράξη
- h2: Στην πράξη
Κρίσιμες ευπάθειες runtime, κλειστές σε μία μέρα. Όταν μια ευπάθεια PHP ανώτατης σοβαρότητας παίρνει την επίσημη διόρθωσή της, τα μέτρα μετριασμού μπαίνουν σε όλες τις managed πλατφόρμες πριν το μεσημέρι. Η διορθωμένη PHP, χτισμένη εσωτερικά από την ίδια την προδιαγραφή του maintainer, δημοσιεύεται στο εσωτερικό μας mirror μέσα σε ώρες από την upstream έκδοση, και οι application servers ενός ειδησεογραφικού εκδότη διορθώνονται ένας ένας, ο καθένας με μία μόνο ομαλή επανεκκίνηση workers περίπου ενός δευτερολέπτου.
Ο στόλος ενός ψηφιακού agency, διορθωμένος πριν τα μεσάνυχτα. Το ίδιο βράδυ, ο στόλος πολλών servers ενός ψηφιακού agency διορθώθηκε από άκρη σε άκρη, μαζί με hosts των οποίων τα διορθωμένα builds ήρθαν από τον κατασκευαστή του control panel τους αργά εκείνη τη μέρα και βγήκαν μέσω του αυτοματοποιημένου rollout με αυτόματη διακοπή. Όταν ο επικεφαλής developer του agency ρώτησε αργά εκείνο το βράδυ αν οι servers τους ήταν καλυμμένοι, είχε την απάντησή του μέσα στην ώρα: κάθε ένας από αυτούς είχε ολοκληρωθεί.
Και τα logs ήταν καθαρά. Μια σάρωση του παραθύρου δημοσιοποίησης σε όλες τις διορθωμένες πλατφόρμες βρήκε μόνο scanning και μια αργή, κατανεμημένη απόπειρα μαντέματος κωδικών, όλα απορριφθέντα, και κανένα σημάδι παραβίασης.
Γιατί EuroVPS
-
h2: Γιατί EuroVPS
-
Patching αυθημερόν σε κάθε επηρεαζόμενο server, όχι «στο επόμενο παράθυρο συντήρησης».
- Χτίζουμε οι ίδιοι αξιόπιστα διορθωμένα πακέτα, την ίδια μέρα που δημοσιεύεται η διόρθωση.
- Δικό μας mirror πακέτων στο δικό μας datacenter, προσβάσιμο μόνο από τον δικό μας χώρο διευθύνσεων.
- Κάθε rollout έχει προελέγχους, μετελέγχους και αυτόματη διακοπή.
- Ψάχνουμε για ενδείξεις εκμετάλλευσης εκ των υστέρων, και σας λέμε τι βρήκαμε.
Συχνές ερωτήσεις
- h2: Συχνές ερωτήσεις
- Διορθώνετε τον server μου χωρίς να ρωτήσετε; Για κρίσιμες ευπάθειες σε managed υπηρεσίες, διορθώνουμε αυθημερόν και σας κρατάμε ενήμερους σε όλη τη διάρκεια. Οποιοδήποτε downtime συμφωνείται πρώτα μαζί σας.
- Θα ρίξει το patching το site μου; Σχεδιάζουμε τα rollouts ώστε να το αποφεύγουμε: ομαλές επανεκκινήσεις, ένας host τη φορά, έλεγχοι υγείας πριν και μετά, και αυτόματη διακοπή αν κάτι δείχνει λάθος.
- Κι αν η εφαρμογή μου χρειάζεται παλιά έκδοση; Μετριάζουμε γύρω της, την απομονώνουμε, συμφωνούμε μαζί σας μια διαδρομή αναβάθμισης και τεκμηριώνουμε τα μέτρα που ισχύουν.
- Παίρνω αναφορά; Ναι. Παίρνετε τι επηρεάστηκε, τι κάναμε, πότε, και τι έδειξε ο έλεγχος των logs.
- closing line: Αν θέλετε οι ευπάθειες να κλείνουν από ανθρώπους που χτίζουν οι ίδιοι τη διόρθωση, Μιλήστε με έναν μηχανικό.
Ο επόμενος συνεργάτης σας στην υποδομή
Ας δούμε την υποδομή σας.
Πείτε μας τι τρέχετε σήμερα και τι χρειάζεται βελτίωση. Ένας μηχανικός θα εξετάσει το αίτημά σας και θα σας βοηθήσει να σχεδιάσετε το επόμενο βήμα.
+357 222 32280
Ας ξεκινήσουμε από την υποδομή σας.
Λίγο πλαίσιο μάς βοηθά να ξεκινήσουμε τη σωστή συζήτηση.